III OSK 1066/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Rafał Stasikowski (spr.) Sędziowie: Sędzia NSA Małgorzata Pocztarek Sędzia del. WSA Paweł Mierzejewski po rozpoznaniu w dniu 18 grudnia 2024 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej K. N. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 5 października 2022 r., sygn. akt II SA/Wa 1873/21 w sprawie ze skargi K. N., R. N. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia 26 lutego 2021 r., nr DS.523.433.2020.PT.MMo.113992 w przedmiocie odmowy wszczęcia postępowania oddala skargę kasacyjną.

Wyrokiem z 5 października 2022 r., II SA/Wa 1873/21, Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę K. N. i R. N. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z 26 lutego 2021 r., nr DS.523.433.2020.PT.MMo.113992, w przedmiocie odmowy wszczęcia postępowania. Wyrok zapadł w następujących okolicznościach faktycznych i prawnych. W dniu 20 stycznia 2020 r. K. N., R. N. i J. L. wnieśli do Prezesa Urzędu Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania ich danych osobowych przez [...] sp. z o. o. z siedzibą w W., [...] Ltd z siedzibą w [...] oraz przez J. M., polegające na nieusunięciu postanowienia Prokuratury Rejonowej Gliwice - Zachód w Gliwicach z 27 czerwca 2018 r., opublikowanego pod adresem internetowym: [...], oraz wpisu P. P. z 11 lipca 2018 r., godz. 15:41, opublikowanego pod adresem internetowym: [...], zawierających dane osobowe skarżących w zakresie imion, nazwisk, oraz adresów zamieszkania. Ponadto wnieśli o udostępnienie danych osobowych wskazanych osób wypowiadających się na forum dostępnym pod adresem [...], w tym udostępnienia i wydania tych danych na nośniku. Postanowieniem z 26 lutego 2021 r., działając na podstawie art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256; dalej: "k.p.a.") w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781; dalej: "u.o.d.o."), Prezes UODO orzekł o odmowie wszczęcia postępowania w sprawie skargi skarżących w zakresie żądania udostępnienia przez [...] sp. z o. o., [...] Ltd oraz przez J. M. - administratora grupy "[...]" danych osobowych wskazanych osób wypowiadających się na forum dostępnym pod adresem [...]. Podstawę negatywnego dla skarżących rozstrzygnięcia (dotyczącego tylko udostępnienia danych osobowych osób wypowiadających się na forum) stanowiło ustalenie organu, że Prezes UODO nie ma kompetencji umożliwiających nakazanie administratorowi udostępnienia danych osobowych osób trzecich. Katalog uprawnień naprawczych organu nadzorczego został ściśle określony w art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. L 127 z 23,05.2018, str. 2 ze zm.; dalej "RODO") i jest on dla organu wiążący w zakresie prowadzonego przez niego postępowania, dotyczącego określonego naruszenia ochrony danych osobowych. Spełniona została więc określona w art. 61a § 1 k.p.a. przesłanka uniemożliwiającą wszczęcie postępowania w niniejszej sprawie. Skargę na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie wnieśli skarżący. W odpowiedzi na skargę organ wniósł o jej oddalenie. Oddalając skargę sąd I instancji wskazał, że przepisy art. 58 ust. 1, 2 i 3 RODO określają uprawnienia przysługujące każdemu organowi nadzorczemu - uprawnienia do prowadzenia postępowań, uprawnienia naprawcze i do nakładania kar, uprawnienia do udzielania zezwoleń i uprawnienia doradcze oraz uprawnienia do zgłaszania naruszeń organom wymiaru sprawiedliwości oraz do udziału w postępowaniu sądowym. Wśród tych uprawnień brak jest uprawnień umożliwiających nakazanie administratorowi udostępnienia danych osobowych osób trzecich. Ponadto z art. 58 ust. 6 RODO wynika, że każde państwo członkowskie może przewidzieć w swoich przepisach, że jego organowi nadzorczemu przysługują poza uprawnieniami określonymi w ust. 1-3 także inne uprawnienia, których wykonywanie nie może utrudniać skutecznego stosowania przepisów rozdziału VII RODO. W obowiązującym aktualnie stanie prawym – w ustawie o ochronie danych osobowych, brak jednakże takich przepisów. Sąd I instancji stwierdził prawidłowość ustaleń organu w zakresie braku podstaw prawnych do wszczęcia postępowania i procedowania przez Prezesa UODO, w zakresie udostępnienia danych osób fizycznych. Wydając sporne postanowienie, organ nie dopuścił się naruszenia przepisów postępowania administracyjnego, prawidłowo zastosował art. 61a k.p.a. Uzasadnienie zaskarżonego postanowienia odpowiada dyspozycji art. 107 § 3 k.p.a. Sąd ten, działając na podstawie art. 151 ustawy z dnia 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze. zm.; dalej "p.p.s.a."), oddalił skargę. Skargę kasacyjną od powyższego wyroku wywiódł K. N., zaskarżając wyrok w całości. Wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania sądowi I instancji. Nadto zrzekł się rozprawy i wniósł o zasądzenie zwrotu kosztów postępowania, "które nie zostały uiszczone ani w całości ani w części". Zaskarżonemu wyrokowi zarzucił: 1. mające istotny wpływ na treść wyroku naruszenie przepisów postępowania zawartych w art. 134 §1, art. 145 § 1 pkt 1 lit a) p.p.s.a. w zw. z art. 58 ust. 2 RODO w zw. z art. 14 ust. 1 RODO, art. 15 ust. 1-3 RODO, art. 17 ust. 1 i ust. 2 RODO poprzez niewłaściwe zastosowanie wskazanych przepisów skutkujących uznaniem, że w niniejszej sprawie nie przysługują organowi uprawnienia naprawcze w sytuacji naruszenia przepisów RODO przez administratora danych; 2. mające istotny wpływ na treść wyroku naruszenie przepisów postępowania mających istotny wpływ na wynik sprawy zawartych w art. 61a § 1 k.p.a. poprzez uznanie, że w niniejszej sprawie wystąpiły okoliczności skutkujące odmową wszczęcia postępowania administracyjnego przez organ; 3. mające istotny wpływ na treść wyroku naruszenie art. 79 ust. 1 RODO poprzez pozbawienie skarżącego prawa do ochrony prawnej z tytułu naruszenia ochrony danych osobowych. W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie. Niniejsza sprawa zastała rozpoznana na posiedzeniu niejawnym na podstawie art. 182 § 2 i 3 p.p.s.a., bowiem skarżący kasacyjnie zrzekł się rozprawy, zaś pozostałe strony, w terminie czternastu dni od dnia doręczenia skargi kasacyjnej, nie zażądały jej przeprowadzenia. Naczelny Sąd Administracyjny zważył, co następuje. Stosownie do art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych. Skarga kasacyjna nie zasługuje na uwzględnienie. Szczegółowe odniesienie się do zarzutów skargi kasacyjnej wymaga wstępnego wskazania, iż skarżący wyraźnie sformułowali swoje żądania względem organu, ustalając w ten sposób przedmiot sprawy. Jednym z żądań zgłoszonych w piśmie z 20 stycznia 2020 r. było udostępnienie danych osobowych osób wypowiadających się na forum dostępnym pod sprecyzowanym adresem. W tym zakresie doszło do odmowy wszczęcia postępowania w związku z brakiem kognicji organu, tj. obowiązywania normy materialnej i powiązanej z nią normy kompetencyjnej dającej organowi uprawnienie administracyjnoprawne do wydawania aktów administracyjnych nakazujących udostępnianie danych osobowych osób trzecich. W zakresie pozostałych żądań w chwili wydawania postanowienia o odmowie wszczęcia postępowania prowadzone były czynności procesowe przez organ. Zarzut pierwszy jest nieuzasadniony. Jego konstrukcja jest oparta na błędnym założeniu sprowadzającym się do wywodzenia z praw podmiotowych osoby, której dane są przetwarzane, kompetencji administracyjnej względem administratora tych danych. Przepis art. 14 ust. 1 i art. 15 ust. 1-3 RODO określają uprawnienia w zakresie informacji jakie muszą być podawane w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą. Z kolei art. 17 ust. 1 RODO określa przypadki, w których winno dojść do usunięcia danych osobowych (tzw. prawo zapomnienia). Są to więc przepisy określające pewne prawa podmiotowe osoby, której dane osobowe są przetwarzane względem administratora jej danych osobowych. Zaliczyć je należy zatem do przepisów prawa materialnego, kształtujących zakres uprawnień jednostki w zakresie jej ochrony w procesach przetwarzania danych osobowych jej dotyczących. Od przepisów prawa materialnego odróżnić należy przepisy kompetencyjne, które są adresowane do organu administracyjnego, określające jego zakres prawa i obowiązku władczego działania w określonej sferze objętej zakresem reglamentacji prawa publicznego. Takim przepisem na gruncie rozpoznawanego zarzutu bez wątpienia jest przepis art. 58 ust. 2 RODO, który w pkt "c" przewiduje uprawnienie organu do nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia. Pozostałe podpunkty nie są związane z zaistniałym w tej sprawie układem faktycznym. Rzecz jednak w tym, że prawa podmiotowe, które posiada osoba, której dane osobowe są przetwarzane na gruncie przepisów art. 14 ust. 1, art. 15 ust. 1-3 i art. 17 ust. 1 RODO dotyczą tej osoby i jej danych osobowych w związku z przetwarzaniem danych dotyczących jej osoby, a nie jak błędnie przyjmuje autor skargi kasacyjnej – danych osobowych innych osób. W rozpoznawanej sprawie są to dane osobowe osób, które wypowiadały się na forum dostępnym na gruncie wskazanego medium. Z przepisów art. 14 ust. 1, art. 15 ust. 1-3 i art. 17 ust. 1 RODO nie można zatem na gruncie zastosowania dyrektyw wykładni językowej wywieść prawa domagania się ujawnienia danych osobowych innych osób niż osoba, której dane są przetwarzane. W tym zaś kierunku zmierza skarga kasacyjna. Kompetencje organu określone w art. 58 ust. 2 RODO muszą być odnoszone do uprawnień naprawczych w związku z ewentualnym naruszeniem przepisów art. 14 ust. 1, art. 15 ust. 1-3 i art. 17 ust. 1 RODO. Oznacza to, że skorzystanie z ewentualnej kompetencji przez organ mogłoby mieć miejsce, gdyby doszło do naruszenia jednego z wynikających z tych przepisów praw podmiotowych osoby, której dane są przetwarzane. Kompetencji, o których mowa w art. 58 ust. 2 pkt c RODO, nie można zaś odnosić do pozyskania danych osobowych innych osób niż osoba, której dane są przetwarzane, tj. do pozyskiwania danych osobowych osób trzecich. Z tych względów zarzut pierwszy jest nieuzasadniony. Zarzut drugi jest pozbawiony podstaw. Pozostaje on w integralnym związku z wyżej rozpoznanym zarzutem. Zdaniem Naczelnego Sądu Administracyjnego zgodzić należy się ze stanowiskiem sądu I instancji oraz organu, iż w przypadku jasności, iż w sytuacji, gdy treść żądania wszczęcia postępowania administracyjnego w sposób nie budzący wątpliwości wskazuje, że zakres ten nie jest objęty regulacją administracyjnoprawną, a w konsekwencji czego organ nie dysponuje władczym uprawnieniem do regulowania tej sfery stosunków społecznych w drodze władczych działań o charakterze administracyjnoprawnym, to zachodzi "inna uzasadniona przyczyna" uniemożliwiająca wszczęcie postępowania, o której mowa w art. 61a § 1 k.p.a. Jest bowiem oczywiste, iż brak kompetencji organu na gruncie określonego stanu faktycznego oznacza, że nie będzie możliwe władcze uregulowanie określonego elementu świata zewnętrznego w drodze czynności administracyjnoprawnej. W takiej sytuacji nierozumne byłoby wszczynanie postępowania, które ze względu na brak możliwości orzekania administracyjnego musiałoby zostać w perspektywie zakończone przez umorzenie, jako postępowanie bezprzedmiotowe. W takiej sytuacji, jeśli organ stwierdzi brak kompetencji administracji do działania, jest zobligowany do zastosowania przepisu art. 61a § 1 k.p.a. i odmowy wszczęcia postępowania administracyjnego. Z tych względów zarzut ten pozbawiony jest podstaw. Zarzut trzeci jest nieuzasadniony. Zgodnie z art. 79 ust. 1 RODO bez uszczerbku dla dostępnych administracyjnych lub pozasądowych środków ochrony prawnej, w tym prawa do wniesienia skargi do organu nadzorczego zgodnie z art. 77, każda osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli uzna ona, że prawa przysługujące jej na mocy niniejszego rozporządzenia zostały naruszone w wyniku przetwarzania jego danych osobowych z naruszeniem niniejszego rozporządzenia. Przepis ten znajduje zastosowanie do osoby, której dane dotyczą. Z tego wynika, iż nie jest możliwe odnoszenie go do przypadku, gdy idzie o uzyskanie dostępu do danych osobowych osób trzecich, jak ma to miejsce w rozpoznawanej sprawie. Prawo do skutecznego środka ochrony przed sądem posiada zatem osoba, której prawa podmiotowe zostały naruszone w skutek przetwarzania jej danych osobowych. Nie obejmuje to zatem sytuacji chęci pozyskiwania danych osobowych osób trzecich. Z tych względów brak było podstaw do uznania tego zarzutu za zasadny. Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a., orzekł o oddaleniu skargi kasacyjnej.